ChatGPT AgentForger脆弱性の全容｜1クリックでAIスパイが社内に潜む仕組みと対策【2026年7月】

結論: 2026年7月23日、セキュリティ企業Zenity Labsが、OpenAIのChatGPT Workspace Agentsにフィッシングリンク1本で企業内に自律AIエージェントを送り込める脆弱性「AgentForger」を公開しました。OpenAIは6月8日に修正済みで、野生での悪用は確認されていません。ただし、この脆弱性が示した「AIエージェントそのものが攻撃の産物になる」という脅威モデルは、ChatGPTに限らずAIエージェントを業務導入するすべての組織に関わる構造的な問題です。

この記事の要点:

• Zenity Labsが発見した「AgentForger」は、CSRF（クロスサイトリクエストフォージェリ）を利用して、ChatGPT Agent Builderに悪意あるプロンプトを注入し、被害者の権限で自律AIエージェントを作成・公開できる脆弱性（Zenity Labs、2026年7月23日公開）
• 作成されたエージェントは、被害者が接続済みのOutlook・Gmail・Slack・Google Drive等を通じてデータ窃取・なりすまし・資格情報の収集を自律的に実行し、5分ごとのスケジュールで永続的に動作する
• OpenAIは報告から4日で修正し、Agent Builder自体を2026年11月30日に廃止してAgents SDKへ移行する方針を発表している

対象読者: AIエージェントを業務で使っている・導入を検討しているエンジニア、SES現場でAI利用ルールの策定に関わる方、ChatGPTのエンタープライズプランを利用している組織の管理者

読了後にできること: AIエージェントに業務権限を与えるとき、「誰がエージェントを作れるか」「どの外部サービスにアクセスできるか」「不正なエージェントをどう検知するか」の判断軸が持てます

ChatGPTのWorkspace Agentsとは

まず前提を整理します。ChatGPT Workspace Agentsは、2026年にOpenAIがエンタープライズ向けに提供を始めた機能です。Agent Builderと呼ばれるインターフェースを使って、社内のメール（Outlook・Gmail）、カレンダー、Slack、Teams、Google Driveなどの業務アプリにAIエージェントを接続し、定型業務を自動化できます。

たとえるなら、「ChatGPTを社内ツールのパスワードと接続先を覚えた専属アシスタントにする」機能です。営業報告の集約、社内問い合わせへの自動応答、議事録の配信など、特定業務を自律的にこなすエージェントをノーコードで構築できます。

問題は、この「エージェントを作成する」プロセス自体にセキュリティ上の欠陥があったことです。

何が起きたのか——時系列で整理する

ポイントは2つあります。まず、OpenAIは報告からわずか4日で修正しており、対応速度としては業界標準を大きく上回っています。一方で、修正前の期間にこの脆弱性が悪用されていなかった保証はOpenAI側の発表のみが根拠であり、独立した検証は行われていません。

攻撃はどう動くのか——AgentForgerの仕組み

Zenity Labsの研究者Mike Takahashi氏の説明に基づいて、攻撃の流れを整理します。

ステップ1: 罠のリンクを送る

攻撃者は以下の形式のURLを作成します。

chatgpt.com/agents/studio/new?template_name=[テンプレート名]&initial_assistant_prompt=[悪意あるプロンプト]

initial_assistant_promptパラメータに、エージェントの動作指示を埋め込みます。このURLをメールやチャットでフィッシングとして送るだけです。

ステップ2: Agent Builderが自動実行する

ChatGPTにログイン済みでWorkspace Agentsのアクセス権限を持つ社員がこのリンクをクリックすると、Agent Builderが開き、URLに埋め込まれたプロンプトが自動的に実行されます。Takahashi氏は「URLに埋め込まれた指示が、Builderが実行する最初のコマンドになる」と説明しています（Zenity Labs、2026年7月23日）。

通常のCSRF攻撃はフォーム送信や設定変更などの単発操作を乗っ取りますが、AgentForgerの場合はAIエージェントの「作成→認可→公開」という一連のプロセス全体をURL1本で起動できた点が異なります。

ステップ3: エージェントが被害者の権限を継承する

作成されたエージェントは、被害者がChatGPTに事前接続していたOAuthコネクタ（Outlook、Gmail、Googleカレンダー、Google Drive、SharePoint、Slack、Teams）の全権限を継承します。攻撃者がこれらのサービスに直接不正アクセスするのではなく、被害者名義の正規エージェントを通じてアクセスする点が従来の攻撃と構造的に異なります。

ステップ4: 永続的なバックドアとして動作する

エージェントは12個のスケジュールを5分ずつオフセットして設定し、実質5分ごとに自動起動するよう構成されます。具体的には、被害者のメール受信箱を定期的に巡回し、件名が「TASK」で始まるメールを探します。攻撃者がこのパターンのメールを送ると、その内容が次の指示として実行されます。

被害者がリンクをクリックした後、ブラウザを閉じても、ChatGPTに再度アクセスしなくても、エージェントは独立して動作し続けます。つまり、1回のクリックで、永続的に命令を受け取る自律AIスパイが社内に設置される構造です。

実行できる攻撃

Zenity Labsのレポートでは、以下の攻撃が可能だったとされています。

どこまで確認されているのか——検証状況

確認済みの事実

• Zenity Labsが脆弱性を発見し、技術詳細をPart 1・Part 2として2026年7月23日に公開したこと自体は確認済み（研究ブログに完全な再現手順と画面キャプチャが掲載されている）
• OpenAIが報告を認知し、4日以内に修正したことは、Zenity Labs側の開示タイムラインとBusinessWireのプレスリリースで確認
• OpenAIがAgent Builderを2026年11月30日に廃止する方針は、OpenAI公式のガイダンスで確認

当事者の主張段階

• 「野生での悪用は確認されていない」 はOpenAI側の発表のみが根拠です。独立したインシデント調査の結果は公開されていません
• 影響を受けた可能性のあるユーザー数についても、公式な数字は開示されていません

注意すべき点

この脆弱性はCSRF——Webセキュリティでは古くから知られた攻撃手法——の一種です。CSRF自体は新しくありません。新しいのは、CSRFの先にあるのが「設定変更」や「送金」ではなく「自律AIエージェントの作成」だったという点です。従来のCSRFは1回の不正操作で完結しますが、AgentForgerでは1回の操作が永続的に動作するAIエージェントを生み出します。この「攻撃の増幅効果」が、この脆弱性の核にある危険性です。

楽観論と慎重論——受け止め方は分かれている

楽観的な見方

• OpenAIの対応速度（報告から4日で修正）は、業界水準と比較してかなり速い。バグバウンティを通じた責任ある開示のプロセスが正常に機能した証拠
• Agent Builderの廃止（11月30日）とAgents SDKへの移行は、より制御された形でのエージェント構築を促す方向性
• 修正済みのため、現在この攻撃は成立しない

慎重な見方

• Agent Builderは廃止されるが、Agents SDKやサードパーティのAIエージェント構築ツールに同種の設計上の問題がない保証はない
• ChatGPTに限らず、Gemini、Claude、CopilotなどOAuthコネクタでエンタープライズアプリに接続するAIエージェント全般に、権限の委譲モデルの再検討が必要になる
• 「エージェントを作成する」という行為自体がCSRFの標的になるリスクは、AIエージェントの普及に伴って他のプラットフォームでも顕在化する可能性がある
• 組織内で誰がどんなエージェントを作っているか、管理者が把握できていない企業が多いのが現状

デュスクとしての見立て

OpenAIの対応は迅速で適切でした。ただし、この脆弱性から学ぶべきことは「OpenAIが直した」ではなく、「AIエージェントに業務権限を与えるときの認可モデルは、まだ業界全体で確立されていない」という事実です。僕自身、SESの会社を経営しながらClaude Codeを全社で導入し、AI秘書の「FRIDAY」に日々の業務を任せています。エージェントに権限を渡す側として、「このエージェントは何にアクセスできて、誰の承認で動いているのか」を常に棚卸しする必要があると改めて感じました。

エンジニア・SES現場への示唆

ここからが本題です。「ChatGPTの脆弱性が直った」という情報を、日々の開発現場の文脈に翻訳します。

「エージェント作成」の権限管理を確認する

SES常駐先でChatGPTエンタープライズを使っている場合、誰がWorkspace Agentsを作成・公開できるかの権限設定を確認すべきです。AgentForgerの攻撃が成立した前提条件は「被害者がWorkspace Agentsのアクセス権限を持っていること」でした。管理者レベルのみに制限されているか、一般社員にも開放されているかで、攻撃面は大きく変わります。

これはChatGPTに限った話ではありません。Microsoft Copilot Studio、Google Gemini for Workspace、その他のノーコードAIエージェント構築ツールでも、「エージェントの作成・公開」がどの権限レベルで可能かを確認する必要があります。

OAuthコネクタの棚卸しをする

AgentForgerで最も問題になったのは、エージェントが被害者の既存のOAuth接続を全て継承した点です。つまり、社員がChatGPTにOutlookやGoogle Driveを接続していた場合、悪意あるエージェントもそのアクセス権をそのまま使えました。

SES現場で確認すべきは、常駐先の環境で以下の点です。

• ChatGPTやその他のAIツールに、どのビジネスアプリが接続されているか
• 接続の範囲は最小権限の原則に沿っているか（読み取り専用で済むものに書き込み権限を与えていないか）
• 接続の棚卸し・定期レビューのプロセスがあるか

AIエージェントの監査ログを取る

AgentForgerのようなケースでは、不正なエージェントが作成されたことに気づくまでの時間が被害の大きさを決めます。エージェントの作成・変更・実行のログを取り、異常なパターン（深夜の作成、大量のデータ読み取り、未知のスケジュール実行など）を検知する仕組みがあるかどうかを確認すべきです。

今すぐ確認・検討すべきこと

• 今日確認すること: 自分や常駐先のチームがChatGPT Workspace Agentsを使っている場合、どのビジネスアプリが接続されているか、一覧を作る。不要な接続があれば削除する
• 今週中にやること: 常駐先のAIエージェント利用ポリシーに「エージェント作成の権限管理」「OAuthコネクタの定期棚卸し」が含まれているか確認する。含まれていなければ、追加を提案する
• 今月中に検討すること: ChatGPTに限らず、業務で使っているAIツール全般について、「そのツールに与えている権限を悪用されたら何が起きるか」のリスクシナリオを洗い出す。AIエージェントの作成・実行の監査ログが取れているか確認する

よくある質問

Q1: この脆弱性はまだ悪用される可能性がありますか？ いいえ。OpenAIは2026年6月8日に修正済みです。攻撃に使われたinitial_assistant_promptパラメータは除去されています。ただし、修正前の期間に悪用がなかったかどうかは、OpenAIの発表以外に確認手段がありません。

Q2: ChatGPTを使っていない組織でも関係がありますか？ 関係があります。AgentForgerが示した脅威モデル——「AIエージェント構築ツールにCSRFがあると、攻撃者が自律的に動作するエージェントを組織内に送り込める」——は、ChatGPTに限らず、OAuthコネクタを使うすべてのAIエージェントプラットフォームに当てはまる構造的な問題です。

Q3: Agent Builderの廃止でこの問題は解決しますか？ Agent Builder固有の脆弱性は解決します。しかし、後継のAgents SDKや他社のAIエージェント構築ツールに同じ種類の設計上の問題がない保証はありません。脆弱性のパッチではなく、AIエージェントの認可モデルの設計レベルで考える必要があります。

Q4: SES常駐先で「ChatGPTエンタープライズは安全だから使っていい」と言われていますが、見直すべきですか？ 「安全かどうか」の二択ではなく、「どの権限で、誰が、何を作れるか」の粒度で確認すべきです。ChatGPTエンタープライズの管理コンソールで、Workspace Agentsの作成権限の範囲、接続済みOAuthコネクタの一覧、エージェントの実行ログの取得状況を確認することを推奨します。

Q5: Claude CodeやFRIDAYのようなAI秘書にも同種のリスクがありますか？ アーキテクチャが異なります。Claude Codeはローカル実行が基本で、ブラウザ経由のCSRFの攻撃面は構造的に小さくなります。ただし、MCPサーバー経由で外部サービスに接続している場合は、その接続の権限範囲を同様に棚卸しする必要があります。

まとめ

Zenity Labsが公開したAgentForger脆弱性は、ChatGPTのAgent BuilderにあったCSRFの欠陥です。フィッシングリンク1本で、被害者の権限を持つ自律AIエージェントを企業内に送り込むことができました。OpenAIは4日で修正し、Agent Builder自体の廃止も予定しています。

確定しているのは、脆弱性が存在し、修正されたという事実です。野生での悪用がなかったかどうかはOpenAIの発表に依存しています。

この脆弱性から得られる教訓は、特定の製品の修正状況よりも大きいところにあります。AIエージェントが業務ツールと深く統合される時代に、「エージェントの作成」「権限の委譲」「実行の監視」の3つをどう設計するかは、まだ業界全体で答えが出ていない問題です。開発者として今できるのは、自分が使っている・構築しているAIエージェントの権限を棚卸しし、「このエージェントが乗っ取られたら何が起きるか」を1つずつ確認していくことです。

参考・出典

• AgentForger, Part 1: ChatGPT Cross-Site Agent Forgery（https://labs.zenity.io/p/agentforger-part-1-chatgpt-cross-site-agent-forgery） — Zenity Labs（参照日: 2026-07-26）。脆弱性の発見経緯と攻撃手法の技術詳細【一次】
• AgentForger, Part 2: The Autonomous Insider（https://labs.zenity.io/p/agentforger-part-2-the-autonomous-insider） — Zenity Labs（参照日: 2026-07-26）。永続的バックドアとしての動作メカニズムの詳細【一次】
• One Click, One Attacker-Controlled Agentic Insider: Zenity Labs Uncovers 'AgentForger,' a ChatGPT Vulnerability（https://www.businesswire.com/news/home/20260723680415/en/） — BusinessWire（参照日: 2026-07-26）。Zenity Labs公式プレスリリース
• ChatGPT AgentForger Flaw Could Deploy Rogue Workspace Agents via a Phishing Link（https://thehackernews.com/2026/07/chatgpt-agentforger-flaw-could-deploy.html） — The Hacker News（参照日: 2026-07-26）。脆弱性の全体像と技術的解説。Mike Takahashi氏のコメントの出典
• OpenAI Fixes ChatGPT Agent Flaw That Could Let Attackers Forge an AI Insider（https://www.securityweek.com/openai-fixes-chatgpt-agent-flaw-that-could-let-attackers-forge-an-ai-insider/） — SecurityWeek（参照日: 2026-07-26）
• One ChatGPT link could smuggle a rogue AI agent into your company（https://www.theregister.com/security/2026/07/23/one-chatgpt-link-could-smuggle-a-rogue-ai-agent-into-your-company/5275116） — The Register（参照日: 2026-07-26）